Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Arbeitsblätter für die ONTAP Administratorauthentifizierung und die Einrichtung der rollenbasierten Zugriffssteuerung (RBAC)

Beitragende netapp-mwallis netapp-aaron-holt netapp-thomi netapp-aoife netapp-dbagwell netapp-barbe netapp-forry netapp-aherbin netapp-pc21187 netapp-bhouser netapp-ahibbard
Änderungen vorschlagen
PDFs

Vor dem Erstellen von Anmeldekonten und dem Einrichten der rollenbasierten Zugriffssteuerung (RBAC) empfiehlt es sich, Informationen zu jedem Element in den Konfigurationsarbeitsblättern zusammenzustellen.

Weitere Informationen zu den in diesem Verfahren beschriebenen Befehlen befinden sich in der "ONTAP-Befehlsreferenz".

Anmeldekonten erstellen oder ändern

Diese Werte werden mit dem security login create Befehl angegeben, wenn Anmeldekonten für den Zugriff auf eine Storage-VM aktiviert werden. Weitere Informationen zu security login create finden sich in der "ONTAP-Befehlsreferenz".

Sie geben dieselben Werte mit dem security login modify Befehl an, wenn Sie ändern, wie ein Konto auf eine Storage-VM zugreift. Weitere Informationen zu security login modify finden sich in der "ONTAP-Befehlsreferenz".

Feld

Beschreibung

Ihr Wert

-vserver

Der Name der Storage-VM, auf die das Konto zugreift. Der Standardwert ist der Name der administrativen Storage-VM für den Cluster.

-user-or-group-name

Der Benutzername oder Gruppenname des Kontos. Die Angabe eines Gruppennamens ermöglicht den Zugriff für alle Benutzer in der Gruppe. Ein Benutzername oder Gruppenname kann mit mehreren Anwendungen verknüpft werden.

-application

Die Anwendung, die für den Zugriff auf die Storage-VM verwendet wird:

  • http

  • ontapi

  • snmp

  • ssh

-authmethod

Die Methode, die zur Authentifizierung des Kontos verwendet wird:

  • cert für die SSL-Authentifizierung

  • domain für die Active Directory Authentifizierung

  • `nsswitch`für LDAP oder NIS Authentifizierung

  • `password`zur Authentifizierung des Benutzerpassworts

  • publickey für die Public-Key-Authentifizierung

  • community für SNMP Community-Strings

  • usm für das SNMP Benutzersicherheitsmodell

  • saml für die Security Assertion Markup Language (SAML) Authentifizierung

-remote-switch-ipaddress

Die IP-Adresse des Remote-Switches. Der Remote-Switch kann ein Cluster-Switch sein, der vom Cluster-Switch-Integritätsmonitor (CSHM) überwacht wird, oder ein Fibre Channel (FC) Switch, der vom MetroCluster Health Monitor (MCC-HM) überwacht wird. Diese Option ist nur anwendbar, wenn die Anwendung snmp ist und das Authentifizierungsverfahren usm ist.

-role

Die dem Konto zugewiesene Zugriffskontrollrolle:

  • Für den Cluster (die Admin-Speicher-VM) ist der Standardwert admin.

  • Für eine Datenspeicher-VM ist der Standardwert vsadmin.

-comment

(Optional) Beschreibender Text für das Konto. Der Text sollte in doppelte Anführungszeichen (") eingeschlossen werden.

-is-ns-switch-group

Ob es sich bei dem Konto um ein LDAP-Gruppenkonto oder ein NIS-Gruppenkonto handelt (yes oder no).

-second-authentication-method

Zweites Authentifizierungsverfahren im Falle einer Multifaktor-Authentifizierung:

  • `none`wenn keine Multifaktor-Authentifizierung verwendet wird, Standardwert

  • `publickey`für die Public-Key-Authentifizierung, wenn das `authmethod`Passwort oder nsswitch ist

  • `password`für die Benutzerpasswortauthentifizierung, wenn das `authmethod`Authentifizierungsverfahren der öffentliche Schlüssel ist

  • `nsswitch`zur Benutzerpasswort-Authentifizierung, wenn das Authentifizierungsverfahren publickey ist

Die Reihenfolge der Authentifizierung ist immer der öffentliche Schlüssel, gefolgt vom Passwort.

-is-ldap-fastbind

Ab ONTAP 9.11.1 aktiviert die Einstellung „true“ die LDAP-Schnellbindung für die nsswitch Authentifizierung; der Standardwert ist „false“. Um die LDAP-Schnellbindung zu nutzen, muss der -authentication-method Wert auf nsswitch gesetzt werden. "LDAP Fast Bind für die nsswitch-Authentifizierung für ONTAP NFS SVMs verwenden".

Cisco Duo Sicherheitsinformationen konfigurieren

Diese Werte werden mit dem security login duo create Befehl bereitgestellt, wenn Cisco Duo Zwei-Faktor-Authentifizierung mit SSH-Anmeldungen für eine Storage-VM aktiviert wird. Weitere Informationen zu security login duo create finden sich in der "ONTAP-Befehlsreferenz".

Feld

Beschreibung

Ihr Wert

-vserver

Die Storage-VM (in der ONTAP CLI als vserver bezeichnet), auf die die Duo Authentifizierungseinstellungen angewendet werden.

-integration-key

Ihr Integrationsschlüssel, der bei der Registrierung Ihrer SSH-Anwendung bei Duo erhalten wurde.

-secret-key

Ihr geheimer Schlüssel, der bei der Registrierung Ihrer SSH-Anwendung bei Duo erhalten wurde.

-api-host

Der API-Hostname, der bei der Registrierung der SSH-Anwendung bei Duo erhalten wird. Beispiel:

api-<HOSTNAME>.duosecurity.com

-fail-mode

Bei Service- oder Konfigurationsfehlern, die die Duo Authentifizierung verhindern, safe (Zugriff erlauben) oder secure (Zugriff verweigern). Standardmäßig ist safe, was bedeutet, dass die Duo Authentifizierung umgangen wird, wenn sie aufgrund von Fehlern wie einem nicht erreichbaren Duo API Server fehlschlägt.

-http-proxy

Der angegebene HTTP-Proxy wird verwendet. Wenn der HTTP-Proxy eine Authentifizierung erfordert, sind die Anmeldeinformationen in die Proxy-URL aufzunehmen. Beispiel:

http-proxy=http://username:password@proxy.example.org:8080

-autopush

Entweder true oder false. Standardmäßig ist false. Wenn true aktiviert ist, sendet Duo automatisch eine Push-Anmeldeanfrage an das Telefon des Benutzers und wechselt zu einem Anruf, falls Push nicht verfügbar ist. Dabei wird die Passcode-Authentifizierung effektiv deaktiviert. Wenn false aktiviert ist, wird der Benutzer aufgefordert, ein Authentifizierungsverfahren auszuwählen.

Bei Konfiguration mit autopush = true wird empfohlen, max-prompts = 1 zu setzen.

-max-prompts

Schlägt die Authentifizierung mit einem zweiten Faktor fehl, fordert Duo den Benutzer zur erneuten Authentifizierung auf. Diese Option legt die maximale Anzahl der Aufforderungen fest, die Duo anzeigt, bevor der Zugriff verweigert wird. Muss 1, 2 oder 3 sein. Der Standardwert ist 1.

Wenn beispielsweise max-prompts = 1, muss sich der Benutzer beim ersten Prompt erfolgreich authentifizieren, während max-prompts = 2, wenn der Benutzer beim ersten Prompt falsche Informationen eingibt, er erneut zur Authentifizierung aufgefordert wird.

Bei Konfiguration mit autopush = true wird empfohlen, max-prompts = 1 zu setzen.

Für das beste Benutzererlebnis wird bei einem Benutzer, der ausschließlich Publickey-Authentifizierung verwendet, immer max-prompts auf 1 gesetzt.

-enabled

Duo-Zwei-Faktor-Authentifizierung aktivieren. Standardmäßig auf true gesetzt. Wenn aktiviert, wird die Duo-Zwei-Faktor-Authentifizierung beim SSH-Login gemäß den konfigurierten Parametern erzwungen. Wenn Duo deaktiviert ist (auf false gesetzt), wird die Duo-Authentifizierung ignoriert.

-pushinfo

Diese Option liefert zusätzliche Informationen in der Push-Benachrichtigung, beispielsweise den Namen der Anwendung oder des Dienstes, auf den zugegriffen wird. Dies hilft Nutzern zu überprüfen, ob sie sich beim richtigen Dienst anmelden, und bietet eine zusätzliche Sicherheitsebene.

Benutzerdefinierte Rollen definieren

Sie geben diese Werte mit dem security login role create Befehl an, wenn Sie eine benutzerdefinierte Rolle definieren. Weitere Informationen zu security login role create finden sich in der "ONTAP-Befehlsreferenz".

Feld

Beschreibung

Ihr Wert

-vserver

(Optional) Der Name der Storage VM (in der ONTAP CLI als vserver bezeichnet), die der Rolle zugeordnet ist.

-role

Die Bezeichnung der Rolle.

-cmddirname

Der Befehl oder das Befehlsverzeichnis, auf das die Rolle Zugriff gewährt. Befehlsunterverzeichnisnamen sollten in doppelte Anführungszeichen (") gesetzt werden. Zum Beispiel "volume snapshot". Es ist erforderlich, DEFAULT einzugeben, um alle Befehlsverzeichnisse anzugeben.

-access

(Optional) Die Zugangsstufe für die Rolle. Für Befehlsverzeichnisse:

  • none (Der Standardwert für benutzerdefinierte Rollen) verweigert den Zugriff auf Befehle im Befehlsverzeichnis

  • readonly gewährt Zugriff auf die show Befehle im Befehlsverzeichnis und dessen Unterverzeichnissen

  • all gewährt Zugriff auf alle Befehle im Befehlsverzeichnis und dessen Unterverzeichnissen

Für nicht-intrinsische Befehle (Befehle, die nicht mit create, modify, delete oder show enden):

  • none (Der Standardwert für benutzerdefinierte Rollen) verweigert den Zugriff auf den Befehl

  • readonly ist nicht anwendbar

  • all gewährt Zugriff auf den Befehl

Um den Zugriff auf intrinsische Befehle zu gewähren oder zu verweigern, muss das Befehlsverzeichnis angegeben werden.

-query

(Optional) Das Abfrageobjekt, das zum Filtern der Zugangsstufe verwendet wird, wird in Form einer gültigen Option für den Befehl oder für einen Befehl im Befehlsverzeichnis angegeben. Das Abfrageobjekt sollte in doppelte Anführungszeichen (") eingeschlossen werden. Wenn das Befehlsverzeichnis beispielsweise volume ist, würde das Abfrageobjekt "-aggr aggr0" den Zugriff nur für das aggr0 Aggregat ermöglichen.

Einem Benutzerkonto wird ein öffentlicher Schlüssel zugeordnet.

Diese Werte werden mit dem security login publickey create Befehl angegeben, wenn ein öffentlicher SSH-Schlüssel mit einem Benutzerkonto verknüpft wird. Weitere Informationen zu security login publickey create finden sich in der "ONTAP-Befehlsreferenz".

Feld

Beschreibung

Ihr Wert

-vserver

(Optional) Der Name der Storage-VM, auf die das Konto zugreift.

-username

Der Benutzername des Kontos. Der Standardwert, admin, was dem Standardnamen des Clusteradministrators entspricht.

-index

Die Indexnummer des öffentlichen Schlüssels. Der Standardwert ist 0, wenn es sich um den ersten Schlüssel handelt, der für das Konto erstellt wurde; andernfalls ist der Standardwert um eins höher als die höchste bereits vorhandene Indexnummer des Kontos.

-publickey

Der öffentliche OpenSSH-Schlüssel. Der Schlüssel sollte in doppelte Anführungszeichen (") gesetzt werden.

-role

Die dem Konto zugewiesene Zugriffskontrollrolle.

-comment

(Optional) Beschreibender Text für den öffentlichen Schlüssel. Der Text sollte in doppelte Anführungszeichen (") eingeschlossen werden.

-x509-certificate

(Optional) Ab ONTAP 9.13.1 ist die Verwaltung der Zuordnung von X.509-Zertifikaten zum öffentlichen SSH-Schlüssel möglich.

Wenn ein X.509-Zertifikat mit dem öffentlichen SSH-Schlüssel verknüpft wird, prüft ONTAP bei der SSH-Anmeldung, ob dieses Zertifikat gültig ist. Ist es abgelaufen oder widerrufen, wird die Anmeldung verweigert und der zugehörige öffentliche SSH-Schlüssel deaktiviert. Mögliche Werte:

  • install: Das angegebene PEM-kodierte X.509-Zertifikat wird installiert und mit dem öffentlichen SSH-Schlüssel verknüpft. Der vollständige Text des zu installierenden Zertifikats ist anzugeben.

  • modify: Das bestehende PEM-kodierte X.509-Zertifikat wird mit dem angegebenen Zertifikat aktualisiert und mit dem SSH-öffentlichen Schlüssel verknüpft. Der vollständige Text für das neue Zertifikat ist einzufügen.

  • delete: Die bestehende X.509-Zertifikatszuordnung mit dem öffentlichen SSH-Schlüssel wird entfernt.

Globale Einstellungen für die dynamische Autorisierung konfigurieren

Ab ONTAP 9.15.1 werden diese Werte mit dem security dynamic-authorization modify Befehl angegeben. Weitere Informationen zu security dynamic-authorization modify finden sich in der "ONTAP-Befehlsreferenz".

Feld

Beschreibung

Ihr Wert

-vserver

Der Name der Storage-VM, für die die Vertrauenswert-Einstellung geändert werden soll. Wird dieser Parameter ausgelassen, kommt die Einstellung auf Cluster-Ebene zur Anwendung.

-state

Der dynamische Autorisierungsmodus. Mögliche Werte:

  • disabled: (Standard) Dynamische Autorisierung ist deaktiviert.

  • visibility: Dieser Modus ist nützlich zum Testen der dynamischen Autorisierung. In diesem Modus wird der Vertrauenswert bei jeder eingeschränkten Aktivität überprüft, aber nicht durchgesetzt. Allerdings wird jede Aktivität, die abgelehnt worden wäre oder zusätzlichen Authentifizierungsanforderungen unterliegen würde, protokolliert.

  • enforced`Vorgesehen für die Verwendung nach Abschluss der Tests mit `visibility-Modus. In diesem Modus wird der Vertrauenswert bei jeder eingeschränkten Aktivität geprüft, und Aktivitätseinschränkungen werden durchgesetzt, wenn die Einschränkungsbedingungen erfüllt sind. Das Unterdrückungsintervall wird ebenfalls durchgesetzt, wodurch zusätzliche Authentifizierungsaufforderungen innerhalb des angegebenen Intervalls verhindert werden.

-suppression-interval

Verhindert zusätzliche Authentifizierungsabfragen innerhalb des angegebenen Intervalls. Das Intervall ist im ISO-8601-Format und akzeptiert Werte von 1 Minute bis einschließlich 1 Stunde. Wenn der Wert auf 0 gesetzt ist, ist das Unterdrückungsintervall deaktiviert und der Benutzer wird immer zu einer Authentifizierungsabfrage aufgefordert, wenn eine erforderlich ist.

-lower-challenge-boundary

Die untere Grenze für die prozentuale Anzahl an Multifaktor-Authentifizierungs- (MFA) Herausforderungen. Der gültige Bereich liegt zwischen 0 und 99. Der Wert 100 ist ungültig, da dies dazu führt, dass alle Anfragen abgelehnt werden. Der Standardwert ist 0.

-upper-challenge-boundary

Der obere Grenzwert für den Prozentsatz der MFA-Herausforderung. Der gültige Bereich liegt zwischen 0 und 100. Dieser Wert muss dem Wert des unteren Grenzwerts entsprechen oder größer sein. Ein Wert von 100 bedeutet, dass jede Anfrage entweder abgelehnt wird oder einer zusätzlichen Authentifizierung unterliegt; es gibt keine Anfragen, die ohne Herausforderung zugelassen werden. Der Standardwert ist 90.

Ein von einer Zertifizierungsstelle signiertes digitales Serverzertifikat installieren

Diese Werte werden mit dem security certificate generate-csr Befehl angegeben, wenn eine digitale Zertifikatsignierungsanforderung (CSR) zur Verwendung bei der Authentifizierung einer Storage-VM als SSL-Server generiert wird. Weitere Informationen zu security certificate generate-csr finden sich in der "ONTAP-Befehlsreferenz".

Feld

Beschreibung

Ihr Wert

-common-name

Der Name des Zertifikats, der entweder eine vollqualifizierte Domain (FQDN) oder ein benutzerdefinierter allgemeiner Name ist.

-size

Die Anzahl der Bits im privaten Schlüssel. Je höher der Wert, desto sicherer der Schlüssel. Der Standardwert ist 2048. Mögliche Werte sind 512, 1024, 1536 und 2048.

-country

Das Land der Storage-VM, als zweistelliger Code. Der Standardwert ist US. Eine Liste der Codes befindet sich unter "ONTAP-Befehlsreferenz".

-state

Der Staat oder die Provinz der Storage-VM.

-locality

Der Standort der Storage-VM.

-organization

Die Organisation der Storage-VM.

-unit

Die Einheit in der Organisation der Storage-VM.

-email-addr

Die E-Mail-Adresse des Kontaktadministrators für die Storage-VM.

-hash-function

Die kryptografische Hash-Funktion zum Signieren des Zertifikats. Der Standardwert ist SHA256. Mögliche Werte sind SHA1, SHA256 und MD5.

Diese Werte werden mit dem security certificate install Befehl bereitgestellt, wenn ein von einer Zertifizierungsstelle signiertes digitales Zertifikat zur Authentifizierung des Clusters oder der Storage-VM als SSL-Server installiert wird. Nur die für die Kontokonfiguration relevanten Optionen sind in der folgenden Tabelle aufgeführt. Weitere Informationen zu security certificate install finden sich in der "ONTAP-Befehlsreferenz".

Feld

Beschreibung

Ihr Wert

-vserver

Der Name der Storage-VM, auf der das Zertifikat installiert werden soll.

-type

Der Zertifikatstyp:

  • server für Serverzertifikate und Zwischenzertifikate

  • client-ca für das öffentliche Schlüsselzertifikat der Stammzertifizierungsstelle des SSL-Clients

  • server-ca für das öffentliche Schlüsselzertifikat der Stammzertifizierungsstelle des SSL-Servers, bei dem ONTAP als Client fungiert

  • `client`für ein selbstsigniertes oder CA-signiertes digitales Zertifikat und einen privaten Schlüssel für ONTAP als SSL-Client

Konfiguration des Zugriffs auf den Active Directory Domänencontroller

Sie geben diese Werte mit dem security login domain-tunnel create Befehl an, wenn bereits ein SMB-Server für eine Datenspeicher-VM konfiguriert wurde und die Storage-VM als Gateway oder Tunnel für den Zugriff des Active Directory Domain Controllers auf den Cluster konfiguriert werden soll. Weitere Informationen zu security login domain-tunnel create finden sich in der "ONTAP-Befehlsreferenz".

Feld

Beschreibung

Ihr Wert

-vserver

Der Name der Storage-VM, für die der SMB-Server konfiguriert wurde.

Sie geben diese Werte mit dem vserver active-directory create Befehl an, wenn kein SMB-Server konfiguriert ist und ein Storage VM-Computerkonto in der Active Directory-Domäne erstellt werden soll. Weitere Informationen zu vserver active-directory create finden sich in der "ONTAP-Befehlsreferenz".

Feld

Beschreibung

Ihr Wert

-vserver

Der Name der Storage-VM, für die ein Active Directory Computerkonto erstellt werden soll.

-account-name

Der NetBIOS-Name des Computerkontos.

-domain

Der vollqualifizierte Domainname (FQDN).

-ou

Die Organisationseinheit in der Domäne. Der Standardwert ist CN=Computers. ONTAP hängt diesen Wert an den Domänennamen an, um den Active Directory individuellen Namen zu erzeugen.

Zugriff auf LDAP- oder NIS-Server konfigurieren

Sie geben diese Werte mit dem vserver services name-service ldap client create Befehl an, wenn Sie eine LDAP-Client-Konfiguration für die Storage-VM erstellen. Weitere Informationen zu vserver services name-service ldap client create finden sich in der "ONTAP-Befehlsreferenz".

In der folgenden Tabelle sind nur die Optionen aufgeführt, die für die Kontokonfiguration relevant sind:

Feld

Beschreibung

Ihr Wert

-vserver

Der Name der Storage-VM für die Clientkonfiguration.

-client-config

Der Name der Client-Konfiguration.

-ldap-servers

Eine durch Kommas getrennte Liste von IP-Adressen und Hostnamen der LDAP-Server, mit denen sich der Client verbindet.

-schema

Das Schema, das der Client für LDAP-Abfragen verwendet.

-use-start-tls

Ob der Client Start TLS zur Verschlüsselung der Kommunikation mit dem LDAP-Server verwendet (true oder false).

Hinweis

Start TLS wird nur für den Zugriff auf Datenspeicher-VMs unterstützt. Für den Zugriff auf Admin-Speicher-VMs wird es nicht unterstützt.

Diese Werte werden mit dem vserver services name-service ldap create Befehl angegeben, wenn eine LDAP-Client-Konfiguration mit der Storage-VM verknüpft wird. Weitere Informationen zu vserver services name-service ldap create finden sich in der "ONTAP-Befehlsreferenz".

Feld

Beschreibung

Ihr Wert

-vserver

Der Name der Storage-VM, mit der die Clientkonfiguration verknüpft werden soll.

-client-config

Der Name der Client-Konfiguration.

-client-enabled

Ob die Storage-VM die LDAP-Client-Konfiguration (true oder false verwenden kann).

Diese Werte werden mit dem vserver services name-service nis-domain create Befehl angegeben, wenn eine NIS-Domänenkonfiguration auf einer Storage-VM erstellt wird. Weitere Informationen zu vserver services name-service nis-domain create finden sich in der "ONTAP-Befehlsreferenz".

Feld

Beschreibung

Ihr Wert

-vserver

Der Name der Storage-VM, auf der die Domänenkonfiguration erstellt werden soll.

-domain

Der Name der Domain.

-nis-servers

Eine durch Kommas getrennte Liste von IP-Adressen und Hostnamen für die NIS-Server, die von der Domänenkonfiguration verwendet werden.

Sie geben diese Werte mit dem vserver services name-service ns-switch create Befehl an, wenn Sie die Suchreihenfolge für Namensdienstquellen angeben. Weitere Informationen zu vserver services name-service ns-switch create finden sich in der "ONTAP-Befehlsreferenz".

Feld

Beschreibung

Ihr Wert

-vserver

Der Name der Storage-VM, auf der die Reihenfolge der Namensdienstabfrage konfiguriert werden soll.

-database

Die Namensdienstdatenbank:

  • hosts für Dateien und DNS-Namensdienste

  • `group`für Dateien, LDAP und NIS Namensdienste

  • `passwd`für Dateien, LDAP und NIS Namensdienste

  • `netgroup`für Dateien, LDAP und NIS Namensdienste

  • namemap für Dateien und LDAP-Namensdienste

-sources

Die Reihenfolge, in der die Namensdienstquellen in einer durch Kommas getrennten Liste durchsucht werden:

  • files

  • dns

  • ldap

  • nis

SAML-Zugriff konfigurieren

Ab ONTAP 9.3 werden diese Werte mit dem security saml-sp create Befehl zur Konfiguration der SAML-Authentifizierung bereitgestellt. Weitere Informationen zu security saml-sp create finden sich in der "ONTAP-Befehlsreferenz".

Feld

Beschreibung

Ihr Wert

-idp-uri

Die FTP-Adresse oder HTTP-Adresse des Hosts des Identitätsanbieters (IdP), von dem die IdP-Metadaten heruntergeladen werden können.

-sp-host

Der Hostname oder die IP-Adresse des SAML-Dienstanbieter-Hosts (ONTAP System). Standardmäßig wird die IP-Adresse des Cluster-Management-LIF verwendet.

-cert-ca und -cert-serial, oder -cert-common-name

Die Serverzertifikatdetails des Dienstanbieter-Hosts (ONTAP-System). Es kann entweder die ausstellende Zertifizierungsstelle (CA) des Dienstanbieters und die Seriennummer des Zertifikats oder der Common Name des Serverzertifikats eingegeben werden.

-verify-metadata-server

Ob die Identität des IdP-Metadatenservers validiert werden muss true oder false. Die empfohlene Vorgehensweise ist, diesen Wert immer auf true zu setzen.